如果您针对移动存储设备泄密的主要防范措施就是封住用户电脑上的USB端口，那么你最好用胶枪来封。这就是最近发生在Country Home Loans（全国家庭贷款）的文档安全事故所传递给我们的前车之鉴。 这家单位的一名员工在超过两年的时间里平均每周窃取了大约2万份客户记录，并将它们出售给第三方。
FBI（联邦调查局）专为此案设立的特别小组提供了一份宣誓口供，准确的描述了这次内部人案件是如何发生的。根据它的说法，Countrywide为了防止用户将未授权的数据上传到记忆棒或其他的移动存储媒介，该组织封住了所有员工机器上的USB端口——所有的，除了一个。
作案：发现了一台“漏网之鱼”
36岁的Rene Rebollo Jr.是Countrywide Home Loan次级抵押贷款部门的前高级财务分析师。根据这份宣誓口供的说法，他发现靠近他自己工作地方的一个电脑没有封住USB端口。因此，在大约两年的时间里，他每个星期天晚上都会带上一个U盘并下载大约2万份用户个人信息。
Countrywide还没有部署任何检测或管理移动存储设备下载的方案，因为它的策略就是把所有员工电脑上的这种使用完全封闭。
根据法庭文件,这种下载进行了两年也没有被发现，导致了大约200万份记录的损失。针对Rebollo的犯罪指控说他在Countrywide的年薪是6.5万美元，而他还开立了另一个个人银行帐户来存放从Countrywide数据销售中所获得的收入，这笔收入估计有7万美元。专家们说Rebollo可悲地低估了这些抵押数据的价值，因为这些数据很难从黑市获得。
应对：对USB端口的加密或者粒度控制
专家们说，封闭USB端口——不管是逻辑上的注册表修改还是物理上的用胶枪还是其他的永久性物质来封闭——的确是一种简单的方法来防止用户访问移动存储设备。但是它也有可能失败。
“有一种很快的方法来降低信息流失的风险”，HCR Manor Care信息安全部门的总监Tom Olzak在最近的博客上说，“它并不困难，特别是在Windows环境下。通过登陆脚本，在每个工作站上进行一次简单的注册表修改就能完全封闭USB和Firewire（火线连接）端口。
“但是，如果你部署键盘、鼠标、显示器这样的USB或Firewire设备，那么这种做法可能会产生问题”，Olzak指出，“进行直接的注册表修改来达到安全目的，我认为不是长久之计”。他建议道，对于许多企业来说，比起将USB端口一起封闭，对USB端口的加密或者粒度控制可能是更好的选择。
网友评论